Erfassen von Syslog- und CEF-Nachrichten für Microsoft Sentinel mit dem Azure Monitor-Agent

In diesem Artikel erfahren Sie, wie Sie syslog über AMA und Common Event Format (CEF) über AMA-Connectors verwenden, um Syslog- und CEF-Nachrichten von Linux-Computern, Netzwerkgeräten und Sicherheitsgeräten zu filtern und aufzunehmen. Weitere Informationen zu diesen Datenconnectors finden Sie unter Syslog und CEF (Common Event Format) über AMA-Connectors für Microsoft Sentinel.

Voraussetzungen

Bevor Sie beginnen, müssen Sie die in diesem Abschnitt beschriebenen Ressourcen konfiguriert haben und über die entsprechenden Berechtigungen verfügen.

Microsoft Sentinel: Voraussetzungen

Installieren Sie die entsprechende Microsoft Sentinel-Lösung, und stellen Sie sicher, dass Sie über die Berechtigungen zum Ausführen der Schritte in diesem Artikel verfügen.

• Installieren Sie die entsprechende Lösung aus dem Inhaltshub in Microsoft Sentinel. Weitere Informationen finden Sie unter Entdecken und Verwalten sofort einsatzbereiter Microsoft Sentinel-Inhalte.

• Ermitteln Sie, welcher Datenkonnektor die Microsoft Sentinel-Lösung syslog über AMA oder Common Event Format (CEF) über AMA erfordert und ob Sie die Syslog - oder Common Event Format-Lösung installieren müssen. Gehen Sie zum Erfüllen dieser Voraussetzung wie folgt vor:

  • Wählen Sie im Inhaltshub für die installierte Lösung die Option Verwalten aus, und überprüfen Sie den aufgeführten Datenconnector.

  • Wenn Syslog über AMA oder Common Event Format (CEF) über AMA nicht mit der Lösung installiert wurde, ermitteln Sie, ob Sie die Syslog- oder Common Event Format-Lösung installieren müssen. Suchen Sie dazu Ihre Appliance oder Ihr Gerät in den folgenden Artikeln:

    • CEF über AMA-Datenconnector – Konfigurieren spezieller Appliances oder Geräte für die Microsoft Sentinel-Datenerfassung
    • Syslog über AMA-Datenconnector – Konfigurieren spezieller Appliances oder Geräte für die Microsoft Sentinel-Datenerfassung

    Installieren Sie dann entweder die Syslog- oder Common Event Format-Lösung aus dem Inhaltshub, um den zugehörigen AMA-Datenconnector zu erhalten.

• Azure-Konto mit den folgenden Azure RBAC-Rollen (Role-Based Access Control, rollenbasierte Zugriffssteuerung):

  Integrierte Rolle	Bereich	`Reason`
  - Mitwirkender von virtuellen Computern - Azure Connected Machine    Ressourcenadministrator*in	Virtuelle Computer (VMs) Skalierungsgruppen für virtuelle Computer Server mit Azure Arc-Unterstützung	Bereitstellen des Agents
  Jede Rolle, die die Aktion enthält Microsoft.Resources/deployments/*	Abonnement Ressourcengruppe Vorhandene Datensammlungsregel	So stellen Sie die Azure Resource Manager-Vorlagen bereit
  Überwachungsmitwirkender	Abonnement Ressourcengruppe Vorhandene Datensammlungsregel	Zum Erstellen oder Bearbeiten von Datensammlungsregeln

Voraussetzungen der Protokollweiterleitung

Wenn Sie Nachrichten von einer Protokollweiterleitung sammeln, gelten die folgenden Voraussetzungen:

• Sie benötigen eine designierte Linux-VM als Protokollweiterleitung, um Protokolle zu sammeln.

  • Erstellen einer Linux-VM im Azure-Portal.
  • Linux-Betriebssysteme, die den Azure Monitor-Agent unterstützten.

• Wenn Ihre Protokollweiterleitung keine Azure-VM ist, muss der Azure Arc Connected Machine-Agent darauf installiert sein.

• Auf der Linux-VM mit der Protokollweiterleitung muss Python 2.7 oder 3 installiert sein. Verwenden Sie zur Überprüfung den Befehl python --version oder python3 --version. Wenn Sie Python 3 verwenden, stellen Sie sicher, dass diese Version auf dem Computer als Standardbefehl festgelegt ist, oder führen Sie die Skripts mit dem Befehl „python3“ anstelle von „python“ aus.

• Auf der Protokollweiterleitung muss entweder der Daemon syslog-ng oder rsyslog aktiviert sein.

• Informationen zu den Speicherplatzanforderungen für Ihre Protokollweiterleitung finden Sie unter Leistungsbenchmark für Azure Monitor Agent. Sie können auch diesen Blogbeitrag lesen, der Entwürfe für die skalierbare Erfassung enthält.

• Ihre Protokollquellen, Sicherheitsgeräte und Appliances müssen so konfiguriert werden, dass sie ihre Protokollnachrichten an den Syslog-Daemon der Protokollweiterleitung und nicht an ihren lokalen Syslog-Daemon senden.

Voraussetzungen für Computersicherheit

Konfigurieren Sie die Sicherheit des Computers gemäß der Sicherheitsrichtlinie Ihrer Organisation. Beispielsweise können Sie das Netzwerk so konfigurieren, dass es der Sicherheitsrichtlinie für das Unternehmensnetzwerk entspricht, und die Ports und Protokolle im Daemon Ihren Anforderungen entsprechend ändern. Um die Sicherheitskonfiguration Ihres Computers zu verbessern, schützen Sie Ihren virtuellen Computer in Azure, oder lesen Sie diese bewährten Methoden für die Netzwerksicherheit.

Wenn Ihre Geräte Syslog- und CEF-Protokolle über TLS senden, z. B. weil sich Ihre Protokollweiterleitung in der Cloud befindet, müssen Sie den Syslog-Daemon (rsyslog oder syslog-ng) so konfigurieren, dass er über TLS kommuniziert. Weitere Informationen finden Sie unter:

• Verschlüsseln des Syslog-Datenverkehrs mit TLS – rsyslog
• Verschlüsseln von Protokollnachrichten mit TLS – syslog-ng

Konfigurieren des Datenconnectors

Der Einrichtungsprozess für syslog über AMA oder Common Event Format (CEF) über AMA-Datenconnectors umfasst die folgenden Schritte:

1. Installieren Sie den Azure Monitor Agent und erstellen Sie eine Datensammelregel (DCR), indem Sie eine der folgenden Methoden verwenden:
   • Azure oder Defender-Portal
   • Erfassungs-API für Azure Monitor-Protokolle
2. Wenn Sie Protokolle von anderen Computern mithilfe einer Protokollweiterleitung sammeln, führen Sie das Installationsskript für die Protokollweiterleitung aus, um den Syslog-Daemon zum Lauschen auf Nachrichten von anderen Computern zu konfigurieren und um die erforderlichen lokalen Ports zu öffnen.

Wählen Sie die entsprechende Registerkarte für Anweisungen aus.

    "dataSources": {
      "syslog": [
        {
        "name": "SyslogStream0",
        "streams": [
          "Microsoft-Syslog"
        ],
        "facilityNames": [ 
          "cron",
          "daemon",
          "local0",
          "local3", 
          "uucp"
        ],
        "logLevels": [ 
          "Warning", 
          "Error", 
          "Critical", 
          "Alert", 
          "Emergency"
        ]
      }
    ]
  }

    "dataSources": {
      "syslog": [
        {
          "name": "CEFStream1",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "authpriv", 
            "mark"
          ],
          "logLevels": [
            "Info",
            "Notice", 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "CEFStream2",
          "streams": [ 
            "Microsoft-CommonSecurityLog"
          ],
          "facilityNames": [ 
            "daemon"
          ],
          "logLevels": [ 
            "Warning", 
            "Error", 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream3",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "kern",
            "local0",
            "local5", 
            "news"
          ],
          "logLevels": [ 
            "Critical", 
            "Alert", 
            "Emergency"
          ]
        },
        {
          "name": "SyslogStream4",
          "streams": [ 
            "Microsoft-Syslog"
          ],
          "facilityNames": [ 
            "mail",
            "uucp"
          ],
          "logLevels": [ 
            "Emergency"
          ]
        }
      ]
    }

Ausführen des Skripts „installation“

Wenn Sie eine Protokollweiterleitung verwenden, konfigurieren Sie den Syslog-Daemon, um auf Nachrichten von anderen Computern zu lauschen und die erforderlichen lokalen Ports zu öffnen.

1. Kopieren Sie auf der Connectorseite die Befehlszeile, die unter "Ausführen des folgenden Befehls" angezeigt wird, um den CEF-Sammler zu installieren und anzuwenden:

   

   Oder kopieren Sie sie von hier:

   sudo wget -O Forwarder_AMA_installer.py https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/DataConnectors/Syslog/Forwarder_AMA_installer.py&&sudo python Forwarder_AMA_installer.py
   

2. Melden Sie sich bei der VM mit der Protokollweiterleitung an, auf der Sie gerade die AMA installiert haben.

3. Fügen Sie den Befehl ein, den Sie im letzten Schritt kopiert haben, um das Installationsskript zu starten.
   Das Skript konfiguriert den rsyslog- oder syslog-ng-Daemon für die Verwendung des gewünschten Protokolls und startet den Daemon neu. Das Skript öffnet Port 514, um eingehende Nachrichten sowohl in UDP- als auch in TCP-Protokollen abzuhören. Um diese Einstellung zu ändern, sehen Sie in der Konfigurationsdatei des Syslog-Daemons nach, die dem auf dem Computer ausgeführten Daemon-Typ entspricht:

   • Rsyslog: /etc/rsyslog.conf
   • Syslog-ng: /etc/syslog-ng/syslog-ng.conf

   Wenn Sie Python 3 verwenden und es nicht als Standardbefehl auf dem Computer festgelegt ist, ersetzen Sie im eingefügten Befehl python3 mit python. Weitere Informationen finden Sie unter Voraussetzungen der Protokollweiterleitung.

   Hinweis

   Um Szenarien mit vollen Datenträgern zu vermeiden, bei denen der Agent nicht funktionieren kann, empfehlen wir, das Sie die Konfiguration von syslog-ng oder rsyslog so festlegen, dass nicht benötigte Protokolle nicht gespeichert werden. Ein Szenario mit vollem Datenträger unterbricht die Funktion des installierten AMA. Weitere Informationen finden Sie unter RSyslog oder Syslog-ng.

4. Überprüfen Sie den Dienststatus.

   Überprüfen Sie den AMA-Dienststatus in Ihrer Protokollweiterleitung:

   sudo systemctl status azuremonitoragent.service
   

   Überprüfen Sie den Status des rsyslog-Diensts:

   sudo systemctl status rsyslog.service
   

   Überprüfen Sie bei syslog-ng-Umgebungen Folgendes:

   sudo systemctl status syslog-ng.service
   

Konfigurieren des Sicherheitsgeräts oder der Appliance

Anweisungen zum Konfigurieren Ihres Sicherheitsgeräts oder Ihrer Appliance finden Sie in einem der folgenden Artikel:

• Datenconnector „CEF über AMA“ – Konfigurieren spezieller Appliances oder Geräte für die Microsoft Sentinel-Datenerfassung
• Datenconnector „Syslog über AMA“ – Konfigurieren spezieller Appliances oder Geräte für die Microsoft Sentinel-Datenerfassung

Wenn Sie weitere Informationen zu Ihrer Appliance oder Ihrem Gerät wünschen, wenden Sie sich an den Lösungsanbieter.

Testen des Connectors

Stellen Sie sicher, dass Protokollmeldungen von Ihrem Linux-Computer oder Sicherheitsgeräten und -Appliances in Microsoft Sentinel aufgenommen werden.

1. Um zu überprüfen, ob der Syslog-Daemon am UDP-Port ausgeführt wird und ob der AMA lauscht, führen Sie den folgenden Befehl aus:

    netstat -lnptv
   

   Es sollte angezeigt werden, dass der Daemon rsyslog oder syslog-ng an Port 514 lauscht.

2. Um Nachrichten zu erfassen, die von einer Protokollierung oder einem verbundenen Gerät gesendet werden, führen Sie diesen Befehl im Hintergrund aus:

   sudo tcpdump -i any port 514 or 28330 -A -vv &
   

3. Nachdem Sie die Überprüfung abgeschlossen haben, beenden Sie tcpdump. Geben Sie fgein, und wählen Sie dann STRG+C aus.

Senden von Testnachrichten

Führen Sie zum Senden von Demonachrichten einen der folgenden Schritte aus:

1. Verwenden Sie das nc Netcat-Hilfsprogramm. In diesem Beispiel liest das Hilfsprogramm Daten, die mit dem echo-Befehl gesendet wurden, wobei der newline-Schalter deaktiviert war. Das Hilfsprogramm schreibt die Daten dann ohne Timeout an den UDP-Port 514 auf dem localhost. Zum Ausführen des Hilfsprogramms netcat müssen Sie möglicherweise ein anderes Paket installieren.

   echo -n "<164>CEF:0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|1|rt=$common=event-formatted-receive_time" | nc -u -w0 localhost 514
   

2. Verwenden Sie den Befehl logger. In diesem Beispiel wird die Nachricht im CEF-RFC-Format in die Einrichtung local 4mit dem Schweregrad Warning an Port 514 auf dem lokalen Host geschrieben. Die Flags -t und --rfc3164 werden verwendet, um das erwartete RFC-Format einzuhalten.

   logger -p local4.warn -P 514 -n 127.0.0.1 --rfc3164 -t CEF "0|Mock-test|MOCK|common=event-format-test|end|TRAFFIC|rt=$common=event-formatted-receive_time"
   

   Testen Sie die Erfassung von Cisco ASA mit dem folgenden Befehl:

   echo -n "<164>%ASA-7-106010: Deny inbound TCP src inet:1.1.1.1 dst inet:2.2.2.2" | nc -u -w0 localhost 514
   

   Nachdem Sie diese Befehle ausgeführt haben, werden Nachrichten an Port 514 übermittelt und an Port 28330 weitergeleitet.

3. Fragen Sie nach dem Senden von Testnachrichten Ihren Log Analytics-Arbeitsbereich ab. Protokolle können bis zu 20 Minuten dauern, bis sie in Ihrem Arbeitsbereich angezeigt werden.

Für CEF-Logs:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceProduct == "MOCK"

Für Cisco ASA-Protokolle:

CommonSecurityLog
| where TimeGenerated > ago(1d)
| where DeviceVendor == "Cisco"
| where DeviceProduct == "ASA"

Weitere Informationen zur Problembehandlung

Wenn der Datenverkehr an Port 514 nicht angezeigt wird oder Ihre Testnachrichten nicht verarbeitet werden, lesen Sie Troubleshoot Syslog und CEF via AMA-Connectors für Microsoft Sentinel, um Probleme zu beheben.

Zugehöriger Inhalt

• Connectors „Syslog über AMA“ und „CEF (Common Event Format) über AMA“ für Microsoft Sentinel
• Datensammlungsregeln in Azure Monitor
• CEF über AMA-Datenconnector – Konfigurieren spezieller Appliances oder Geräte für die Microsoft Sentinel-Datenerfassung
• Datenconnector „Syslog über AMA“ – Konfigurieren spezieller Appliances oder Geräte für die Microsoft Sentinel-Datenerfassung
• Problembehandlung bei Syslog und CEF über AMA-Connectors für Microsoft Sentinel